asp.net - 如何排除 Controller 进行身份验证

Question

我已经覆盖了我的 asp.net web api 项目中的 IautheticationFIlter。这是我的类(class):

public class TokenAuthentication : Attribute, IAuthenticationFilter
{
    private readonly string realm;

    public bool AllowMultiple { get { return false; } }

    public TokenAuthentication(string realm)
    {
        this.realm = "realm=" + realm;
    }

    public Task AuthenticateAsync(HttpAuthenticationContext context, CancellationToken cancellationToken)
    {
        var request = context.Request;

        // Receive token from the client. Here is the example when token is in header:
        var token = request.Headers.GetValues("Token").ElementAt(0);

        ...

        }
        return Task.FromResult(0);
    }


    public Task ChallengeAsync(HttpAuthenticationChallengeContext context, CancellationToken cancellationToken)
    {
        context.Result = new ResultWithChallenge(context.Result, realm);
        return Task.FromResult(0);
    }
}

现在我需要将我的登录 Controller 排除在认证之外:

目前，当我运行我的项目时，如果我放置 [Authorize]、[AllowAnonymous] 或根本没有过滤器，每个请求都会触发此代码。

这是我添加过滤器的地方:

      public static void RegisterHttpFilters(System.Web.Http.Filters.HttpFilterCollection filters)
    {           
        filters.Add(new TokenAuthentication(""));
    }

Answer 1

我认为，您混淆了身份验证 和授权。可能您想将您的登录 Controller 排除在授权之外。
[Authorize] 和 [AllowAnonymous] 属性用于授权上下文，与身份验证无关。这就是每次调用 IAuthenticationFilter 的原因。 这篇文章也可能有用 http://www.asp.net/web-api/overview/security/authentication-and-authorization-in-aspnet-web-api .